Credential stuffing (bourrage d'identifiants) : définition
Le credential stuffing consiste à tester automatiquement, sur de nombreux sites, des couples e-mail / mot de passe issus de fuites précédentes.
Il réussit parce que beaucoup de gens réutilisent le même mot de passe. Un mot de passe unique par compte et la double authentification le rendent inefficace.
Concrètement, les pirates achètent ou récupèrent gratuitement des listes de millions d'identifiants issus de fuites passées, puis les testent automatiquement sur des banques, des boutiques en ligne, des messageries ou des plateformes de streaming. Il suffit qu'une petite fraction fonctionne pour que l'opération soit rentable : comptes revendus, achats frauduleux, points de fidélité vidés.
Pour les entreprises, les signes typiques sont des pics de tentatives de connexion échouées venant de nombreuses adresses IP. Les parades côté site : limiter le nombre d'essais, détecter les connexions anormales, proposer la double authentification et les passkeys, et vérifier les mots de passe des clients contre les listes de mots de passe déjà fuités.
Questions fréquentes
Qu'est-ce que le credential stuffing ?
C'est une attaque automatisée qui essaie, sur des milliers de sites, les couples e-mail et mot de passe volés lors de fuites précédentes. Elle fonctionne parce que beaucoup de gens réutilisent le même mot de passe.
Comment savoir si je suis victime de credential stuffing ?
Alertes de connexion inconnue, mot de passe qui ne fonctionne plus, commandes ou messages que vous n'avez pas faits. Vérifiez aussi si votre mot de passe figure dans une fuite connue avec notre outil dédié.
Comment se protéger du credential stuffing ?
Un mot de passe différent pour chaque site, grâce à un gestionnaire de mots de passe, et la double authentification sur les comptes importants rendent cette attaque inefficace.
Voir aussi : Double authentification, Passkey, Gestionnaire de mots de passe.